Zertifizierung nach Art. 42 DSGVO

Akkreditierte Datenschutz-Zertifikate

26. April 2026 · Kategorie: DSGVO · Compliance-Kit

TL;DR

Nach Art. 42 DSGVO erteilen akkreditierte Zertifizierungsstellen oder die zuständige Aufsichtsbehörde Zertifizierungen, mit denen die Einhaltung der DSGVO bei Verarbeitungsvorgängen nachgewiesen werden soll. Sie sind freiwillig und können als Gesichtspunkt zum Nachweis nach Art. 24 Abs. 3 und Art. 28 Abs. 5 herangezogen werden.

Was ist Zertifizierung nach Art. 42 DSGVO?

So funktioniert die Zertifizierung nach der DSGVO:

Europäisches Datenschutzsiegel — gemeinsame Zertifizierung, wenn der Europäische Datenschutzausschuss die Kriterien genehmigt (Art. 42 Abs. 5 DSGVO)
Nationale Zertifizierungsverfahren — Kriterien von der zuständigen Aufsichtsbehörde genehmigt (Art. 42 Abs. 5, Art. 58 Abs. 3 DSGVO)
Erteilung durch akkreditierte Zertifizierungsstellen (Art. 43 DSGVO) oder durch die zuständige Aufsichtsbehörde
Öffentliches Register aller Zertifizierungsverfahren und Datenschutzsiegel beim Europäischen Datenschutzausschuss (Art. 42 Abs. 8 DSGVO) — dort lässt sich prüfen, ob ein Verfahren genehmigt ist

Rechtslage: Deutschland und Österreich

Die Zertifizierung selbst ist als EU-Verordnung in beiden Ländern inhaltlich identisch (Art. 42 DSGVO). Unterschiedlich ist jedoch, wer die Zertifizierungsstellen akkreditiert (Art. 43 DSGVO) und welche Aufsichtsbehörde zuständig ist.

Deutschland

Die Zertifizierungsstellen werden von der Deutschen Akkreditierungsstelle (DAkkS) akkreditiert; auf dieser Grundlage erteilt die zuständige Datenschutz-Aufsichtsbehörde des Bundes oder der Länder die Befugnis, als Zertifizierungsstelle tätig zu werden (§ 39 BDSG). Aufsicht führen die Landesdatenschutzbehörden gegenüber nichtöffentlichen Stellen (§ 40 BDSG) sowie der bzw. die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) gegenüber öffentlichen Stellen des Bundes (§ 9 BDSG).

Österreich

Die Akkreditierung erfolgt durch die Datenschutzbehörde selbst: Sie fungiert als einzige nationale Akkreditierungsstelle nach Art. 43 Abs. 1 lit. a DSGVO und macht die Akkreditierungskriterien per Verordnung kund (§ 21 Abs. 3 DSG). Die Datenschutzbehörde ist in Österreich die einzige zuständige Aufsichtsbehörde nach Art. 51 DSGVO (§ 18 Abs. 1 DSG). DAkkS und BfDI haben in Österreich keine Zuständigkeit.

Praxisbeispiel

SaaS-Anbieter X wirbt mit 'DSGVO-zertifiziert'. Ein Kunde prüft vor Vertragsschluss: Nach welchem genehmigten Verfahren wurde zertifiziert (Register des Europäischen Datenschutzausschusses, Art. 42 Abs. 8 DSGVO)? Welche Verarbeitungsvorgänge deckt das Zertifikat ab, und ist es noch gültig? Eine passende Zertifizierung kann als Faktor für hinreichende Garantien des Auftragsverarbeiters herangezogen werden (Art. 28 Abs. 5 DSGVO).

Häufig gestellte Fragen

Ist Zertifizierung Pflicht?

Nein, die Zertifizierung ist freiwillig (Art. 42 Abs. 3 DSGVO). Sie kann als Gesichtspunkt zum Nachweis der Pflichterfüllung dienen, mindert aber nicht die Verantwortung für die Einhaltung der DSGVO (Art. 42 Abs. 4 DSGVO). In der Praxis wird sie zudem im Vertrieb als Vertrauenssignal genutzt (Praxiseinschätzung).

Was kostet?

Die Kosten legt die jeweilige Zertifizierungsstelle fest. Sie hängen vor allem vom gewählten Verfahren, vom Umfang der zu zertifizierenden Verarbeitungsvorgänge und vom Prüfaufwand ab; verlässliche Zahlen liefern nur Angebote der Zertifizierungsstellen.

Gültigkeit?

Höchstens drei Jahre; eine Verlängerung ist unter denselben Bedingungen möglich, solange die Kriterien weiterhin erfüllt sind. Werden sie nicht mehr erfüllt, wird die Zertifizierung widerrufen (Art. 42 Abs. 7 DSGVO). Ob und wie oft Überwachungsaudits stattfinden, regelt das jeweilige Verfahren.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.